Дыра в протоколе авторизации OAuth Facebook давала доступ к учетным записям и сторонним сервисам, в которые пользователи входили посредством соцсети, без дополнительной регистрации. В персональном блоге исследователя указано, что баг просуществовал 9-10 лет. Оказывается, у злоумышленником была возможность развернуть особый веб-сайт и перехватывать трафик OAuth и токены, дающие доступ к FB-аккаунтам посетителей. Взломщик мог контролировать аккаунты и на других ресурсах, а также выполнять любые действия от имени своей жертвы.
О «находке» Байкар поведал Facebook 16 декабря: компания в тот же день признала наличие «дыры» и оперативно выпустила исправление. Но позже исследователь вновь нашел ошибки в IT-решении, о чем уведомил компанию 3 января. Спустя неделю все недостатки были устранены, а сам эксперт в рамках программы Bug Bounty получил солидную премию – $55 тысяч.
